## Einleitung Das [OpenID Connect Protokoll](https://openid.net/specs/openid-connect-core-1_0.html), auch bekannt als OIDC, hat sich als weit verbreiteter Standard durchgesetzt, der einen grundlegenden Rahmen für das Identitätsmanagement bietet. Es handelt sich um eine Authentifizierungsschicht, die auf dem bekannten OAuth 2.0-Protokoll aufbaut. Während OAuth 2.0 lediglich für die Ressourcenautorisierung gedacht ist, ist OIDC das Protokoll, das die Client-Authentifizierung standardisiert und stärkt, mithilfe des neu eingeführten ID-Token. Warte ... Sie haben vielleicht schon von einem Aktualisierungs-Token und Zugriffs-Token in der OAuth-Ära gehört, und nun kommt ein neues Konzept in OIDC? Verstehen Sie wirklich die Unterschiede zwischen diesen Token? [Logto](https://logto.io/), unsere umfassende Customer Identity and Access Management (CIAM)-Lösung, basiert auf dem OIDC Protokoll. In unserer Community ist eine der am häufigsten gestellten Fragen unserer Nutzer: > **Was ist der Unterschied zwischen einem Aktualisierungs-Token, einem Zugriffs-Token und einem ID-Token?** Also werden wir in diesem Beitrag auf die wichtigen Aspekte der OIDC-Token eingehen, und gleichzeitig aufzeigen, wie Logto das Erlebnis der Entwickler verbessert. Probieren Sie Logto Cloud in 5 Minuten aus ## Beginnen wir mit einem praktischen Szenario Stellen Sie sich vor, Sie arbeiten an einer typischen Client-Server-Anwendung, und diese kommunizieren miteinander über RESTful-APIs. Sie möchten die meisten Ihrer APIs privat halten und nur autorisierten Clients den Zugriff erlauben. Dann könnten Sie sich die erste Frage stellen: ### Welche Art von Token benötige ich, um meine API zu schützen? Die schnelle Antwort lautet: Zugriffs-Token. In OIDC wird jede geschützte API als Ressource behandelt. Das Zugriffs-Token ist die genaue Berechtigung, die der Client dem Server übermittelt, wenn er eine API-Ressource anfordert, typischerweise über den Request-Header. Auf der Serverseite muss der Server bei jedem eingehenden Request lediglich überprüfen, ob dieser ein gültiges Zugriffs-Token enthält. Ein Zugriffs-Token ist eine kurzlebige Berechtigung, die die Autorisierung zum Zugriff auf geschützte Ressourcen im Namen eines Benutzers bietet. Wenn ein Benutzer sich erfolgreich mithilfe von OIDC authentifiziert, gibt der Autorisierungsserver ein Zugriffs-Token aus. Dieses Token enthält Informationen über den Benutzer, dessen Berechtigungen und die Dauer seiner Gültigkeit. Das Token wird dann mit jeder nachfolgenden Anforderung an den Ressourcen-Server gesendet, der die Identität des Benutzers überprüft und den Zugriff auf die angeforderten Ressourcen autorisiert. Allerdings könnten Sie sich fragen: Wenn meine Client-Anwendung nach einem erfolgreichen Login ein gültiges Zugriffs-Token haben kann und das Zugriffs-Token verwendet, um Server-APIs anzufordern, ist das dann nicht ausreichend? Warum benötige ich Aktualisierungs-Token und ID-Token? Tatsächlich eine berechtigte Frage, und lassen Sie uns das Schritt für Schritt erklären. ### Warum benötigen wir Aktualisierungs-Token? Technisch gesehen erfüllen Zugriffs-Token die Mindestanforderungen, um das System zum Laufen zu bringen. Aber aufgrund von Sicherheitsbedenken ist die Gültigkeit der Zugriffs-Token normalerweise sehr kurz (typischerweise eine Stunde). Also stellen Sie sich vor, wir hätten nur Zugriffs-Token, dann müssten die Endbenutzer jedes Mal neu authentifizieren, wenn das Zugriffs-Token abläuft. Für moderne Single-Page-Webanwendungen und insbesondere mobile Anwendungen ist ein häufiges Abmelden ein eher schmerzhaftes Benutzererlebnis, obwohl wir nur versuchen, ihre Benutzersicherheit zu schützen. Daher benötigen wir ein Gleichgewicht zwischen Token-Sicherheit und Benutzerfreundlichkeit. Deshalb führt OIDC Aktualisierungs-Token ein. Ein Aktualisierungs-Token ist ein langlebigeres Token, das verwendet wird, um neue Zugriffs-Token zu erhalten, ohne dass der Benutzer sich neu authentifizieren muss. Es ist wie ein Schlüssel, um mehr Schlüssel zu bekommen. Aktualisierungs-Token werden verwendet, wenn das Zugriffs-Token abläuft oder erneuert werden muss. Sie haben eine längere Gültigkeitsdauer im Vergleich zu Zugriffs- Token, die oft für Tage, Wochen oder sogar Monate dauert. ### Warum können Aktualisierungs-Token eine längere Lebensdauer haben? Zugriffs-Token werden verwendet, um auf API-Ressourcen zuzugreifen, daher hilft ihre kurzlebige Natur dabei, das Risiko eines Lecks oder Kompromisses zu verringern. Da Aktualisierungs-Token hingegen nur verwendet werden, um neue Zugriffs-Token zu tauschen, werden sie nicht so häufig verwendet wie Zugriffs-Token und das Expositionsrisiko ist daher reduziert. Deshalb ist es für Aktualisierungs-Token akzeptabel, eine längere Gültigkeitsdauer zu haben. ### Sicherheit von Aktualisierungs-Token gewährleisten Da das Aktualisierungs-Token auch auf der Client-Seite gespeichert wird, ist es eine Herausforderung, ihre Nicht-Kompromittierung zu gewährleisten, insbesondere für öffentliche Clients wie Single-Page-Webanwendungen (SPA). In Logto haben Aktualisierungs-Token standardmäßig einen automatischen [Rotationsmechanismus](https://datatracker.ietf.org/doc/html/draft-ietf-oauth-security-topics-13#section-4.12), das heißt, der Autorisierungsserver gibt ein neues Aktualisierungs-Token aus, sobald dieser die Kriterien erfüllt: - Einzelseiten-Anwendungen: Als nicht versenderbeschränkte Clients erkannt, erfordern diese Apps eine Weiterleitung des Aktualisierungs-Token. Die Lebensdauer (TTL) des Aktualisierungs-Token kann nicht festgelegt werden. - Native Apps und traditionelle Web-Apps: Die Aktualisierungs-Token-Rotation ist von Natur aus aktiviert, sie erneuert sich automatisch, wenn 70% ihrer TTL erreicht sind. [Mehr erfahren](https://docs.logto.io/docs/references/applications/#rotate-refresh-token) Obwohl Sie immer noch die Option haben, die Weiterleitung des Aktualisierungs-Token auf der Anwendungsdetailseite in der Admin-Konsole zu deaktivieren, wird dringend empfohlen, diese Sicherheitsmaßnahme beizubehalten. ### Das Wesen des ID-Token [ID-Token](https://openid.net/specs/openid-connect-core-1_0.html#IDToken) ermöglicht es dem Client, grundlegende Benutzerinformationen zu erhalten, ohne den Server anfragen zu müssen. Das ID-Token ist ein neuer Token-Typ, der von OIDC eingeführt wurde und gespeicherte Benutzerauthentifizierungsinformationen enthält, dies verbessert die Leistung und das Benutzererlebnis. Im Gegensatz zu Zugriffs-Token, die nur vom Ressourcen-Server verstanden werden sollen, sind ID-Token clientfreundlich. Wenn der Client eine OIDC-Token-Austauschanfrage stellt, kann er gleichzeitig mit einem Zugriffs-Token ein ID-Token anfordern. Das ID-Token ist ein JSON Web Token (JWT) das Benutzerdaten wie Benutzername, E-Mail, Avatar-Bild, etc. enthält. Es ist vom Autorisierungsserver signiert und kann vom Client offline überprüft und dekodiert werden. Das ist besonders nützlich für moderne Single-Page-Web-Apps und mobile Apps, wo der Client das ID-Token zwischenspeichern und es verwenden kann, um den Authentifizierungsstatus des Benutzers zu bestimmen, was die Gesamtleistung und das Benutzererlebnis enorm verbessert. Es ist auch wichtig zu beachten, dass ID-Token nicht zur Autorisierung des Zugriffs auf geschützte Ressourcen verwendet werden; diese Rolle erfüllen Zugriffs-Token. In Logto verwenden wir auch ID-Token in unseren SDKs, um den Authentifizierungsstatus auf der Client-Seite zu bestimmen. Zum Beispiel sehen Sie in unseren [JS SDKs](https://docs.logto.io/docs/references/applications/#rotate-refresh-token): ```tsx const isAuthenticated = Boolean(await this.getIdToken()); ``` Wie bereits erwähnt, ist die `isAuthenticated` Kennzeichnung des Client SDK nur ein zwischengespeicherter Status auf dem Client. Der Echtzeit-Authentifizierungsstatus muss immer noch vom Server bestimmt werden, indem die Aktualisierungs- und Zugriffs-Token überprüft werden. Wir bieten auch eine `getUserClaims()` Funktion in unseren SDKs an, die Ihnen hilft, das ID-Token zu dekodieren und die Benutzerdaten zu bekommen. Allerdings wird der zwischengespeicherte Status nicht aktualisiert, bis sich der Benutzer erneut anmeldet. Wenn Sie Echtzeit-Benutzerinformationen vom OIDC-Server abrufen möchten, verwenden Sie stattdessen `fetchUserInfo()`. ## Logto's Vorteile und Funktionen Logto ist streng nach dem OIDC-Protokoll gebaut, bietet dabei aber zusätzliche Funktionen und Vorteile für Entwickler und Unternehmen: 1. Bequeme SDKs: Logto SDKs vereinfachen die Token-Verwaltung für Sie. Sie müssen Ihr Aktualisierungs-Token und Zugriffs-Token nicht manuell speichern. Rufen Sie einfach jedes Mal `getAccessToken()` auf und das SDK wird immer versuchen, das gespeicherte Zugriffs-Token wiederzuverwenden, oder es automatisch erneuern, wenn es abgelaufen ist. 2. Rotation des Aktualisierungs-Token: Logto führt den Rotationsmechanismus des Aktualisierungs-Token durch, um sicherzustellen, dass Ihr Aktualisierungs-Token immer erneuert wird, nachdem es verbraucht wurde, was das Risiko eines Lecks oder eines Kompromisses verringert. Obwohl Sie es in der Admin-Konsole dennoch deaktivieren können, wird dringend empfohlen, es eingeschaltet zu lassen. 3. Optimierte Leistung: Mit Hilfe von ID-Token können Sie immer grundlegende Benutzerinformationen erhalten, ohne den Server anfragen zu müssen. Nutzen Sie den `isAuthenticated` Status und die `getIdTokenClaims()` Funktion, die von den Logto SDKs bereitgestellt werden, um den Authentifizierungsstatus des Benutzers zu überprüfen und Benutzerdaten auf der Client-Seite zu dekodieren. 4. Verbesserte Sicherheit: Logto erzwingt sichere Verbindungen zwischen dem Client und dem Autorisierungsserver mit Hilfe von HTTPS und TLS. Dies schützt Ihre Token vor potenziellem Diebstahl durch unbefugte Dritte und garantiert die Sicherheit Ihres Systems. ## Schlussfolgerung Im OIDC-Protokoll arbeiten Aktualisierungs-Token, Zugriffs-Token und ID-Token zusammen, um eine sichere und nahtlose Benutzerauthentifizierung zu gewährleisten. - Aktualisierungs-Token beseitigen die Benutzerinteraktion für neue Zugriffs-Token. - Zugriffs-Token bieten Autorisierung zum Zugriff auf geschützte Ressourcen. - ID-Token liefern zwischengespeicherte Benutzerinformationen auf dem Client, was die Leistung verbessert. Das Verständnis der Rolle und Bedeutung dieser Token ist entscheidend für Entwickler, die OIDC-Authentifizierung in ihren Anwendungen implementieren. Indem sie Logto wählen, können Entwickler und Unternehmen das volle Potenzial solcher OIDC-Funktionen ausschöpfen, robuste und sichere Authentifizierungssysteme integrieren, die Benutzerdaten schützen und ein nahtloses Benutzererlebnis bieten. Probieren Sie Logto Heute aus